防火墙F1000-AK1242透明模式配置有手册教程吗
- 0关注
- 0收藏，166浏览
Web方式：透明直路部署典型配置
使用版本
本举例是在F5000-AI-55-G的E9900版本上进行配置和验证的。
组网需求
Host A、Host B和Server通过接入交换机Switch、Device和路由器Router与Internet通信，应用需求如下：
Switch和Device透传Host、Server与Internet之间的流量。
Router做Host A、Host B和Server的网关，查路由表转发Host、Server与Internet之间的流量。
Router作为Host的DHCP服务器，为Host动态分配网段为10.1.1.0/24的IP地址，DNS服务器地址为20.1.1.15，网关地址为10.1.1.1。
Router拥有20.1.1.1/24和20.1.1.2/24两个外网IP地址，内部网络中10.1.1.0/24网段的Host使用20.1.1.2/24地址访问Internet。
Server的内网IP地址是10.1.1.2，Server使用外网IP地址20.1.1.2的21端口对Internet提供FTP服务。
Device通过安全策略控制匹配的报文进行转发，对不匹配的报文丢弃处理。
图-1 Device透明直路部署组网图
配置步骤
配置Device
登录设备的Web界面：
用以太网线将PC和设备的以太网管理口相连。
修改IP地址为192.168.0.0/24（除192.168.0.1）子网内任意地址，例如192.168.0.2。
在PC上启动浏览器，在地址栏中输入IP地址“192.168.0.1”后回车，即可进入设备的Web登录页面，输入设备默认的用户名和密码（admin/admin），单击<登录>按钮即可登录。
切换GigabitEthernet1/0/1和GigabitEthernet1/0/2的工作模式为二层
将GigabitEthernet1/0/1和GigabitEthernet1/0/2分别加入安全域Untrust和Trust中：
选择“网络>接口与VRF>接口”，选中GE1/0/1接口，单击GE1/0/1的编辑按钮。
选择工作模式为二层模式，选择安全域为Untrust，配置VLAN为1，单击<应用>。
图-2 配置GE1/0/1
选择“网络>接口与VRF>接口”，选中GE1/0/2接口，单击GE1/0/2的编辑按钮。
选择工作模式为二层模式，选择安全域为Trust，配置VLAN为1，单击<应用>。
图-3 配置GE1/0/2
配置安全策略放通用户的业务报文：
选择“策略>安全策略”，单击“新建”，配置新建策略名称为trust-untrust，源安全域为Trust，目的安全域为Untrust，配置操作动作为允许，单击<确认>完成trust-untrust策略的配置。
图-4 配置安全策略trust-untrust
图-5 配置安全策略trust-untrust的动作
选择“策略>安全策略”，单击“新建”，配置新建策略名称为untrust-trust，源安全域为Untrust，目的安全域为Trust，配置操作动作为允许，单击<确认>完成untrust-trust策略的配置。
图-6 配置安全策略untrust-trust
图-7 配置安全策略untrust-trust的动作
配置Router
配置接口IP
# 配置接口GigabitEthernet1/0/1和GigabitEthernet1/0/2的IP地址。
<Router>
system-view [Router]
interface gigabitethernet 1/0/1 [Router-GigabitEthernet1/0/1]
ip address 20.1.1.1 24 [Router-GigabitEthernet1/0/1]
quit [Router]
interface gigabitethernet 1/0/2 [Router-GigabitEthernet1/0/2]
ip address 10.1.1.1 24 [Router-GigabitEthernet1/0/2]
quit 配置静态路由
# 配置默认路由指导上行流量转发（此处下一跳以20.1.1.3为例，请以实际情况为准）。
[Router]
ip route-static 0.0.0.0 0 20.1.1.3 配置DHCP服务
# 配置DHCP地址池1，用来为10.1.1.0/24网段内的客户端分配IP地址和网络配置参数。
[Router]
dhcp server ip-pool 1 [Router-dhcp-pool-1]
network 10.1.1.0 24 [Router-dhcp-pool-1]
gateway-list 10.1.1.1 [Router-dhcp-pool-1]
dns-list 20.1.1.15 [Router-dhcp-pool-1]
forbidden-ip 10.1.1.2 [Router-dhcp-pool-1]
quit # 开启DHCP服务。
[Router]
dhcp enable 配置NAT服务
# 配置地址组0，包含外网地址20.1.1.2。
[Router]
nat address-group 0 [Router-address-group-0]
address 20.1.1.2 20.1.1.2 [Router-address-group-0]
quit # 配置ACL 2000，仅允许对内部网络中10.1.1.0/24网段的用户报文进行地址转换。
[Router]
acl basic 2000 [Router-acl-ipv4-basic-2000]
rule permit source 10.1.1.0 0.0.0.255 [Router-acl-ipv4-basic-2000]
quit # 在接口GigabitEthernet1/0/1上配置出方向动态地址转换，允许使用地址组0中的地址对匹配ACL 2000的报文进行源地址转换，并在转换过程中使用端口信息。
[Router]
interface gigabitethernet 1/0/1 [Router-GigabitEthernet1/0/1]
nat outbound 2000 address-group 0 # 配置内部FTP服务器，允许外网主机使用地址20.1.1.2、端口号21访问内网10.1.1.2的FTP服务器。
[Router-GigabitEthernet1/0/1]
nat server protocol tcp global 20.1.1.2 21 inside 10. 1.1.2 ftp [Router-GigabitEthernet1/0/1]
quit
验证配置
- 2025-11-07回答
- 评论(0)
- 举报
-
(0)
暂无评论
您好，请知：
以下是防火墙透明模式的配置案例，请参考：
组网说明：
本案例采用H3C HCL模拟器的F1060防火墙来模拟防火墙的透明模式典型组网配置2。为了实现PC之间相互PING通，因此需要在SW1、R1之间通过路由指向来实现路由可达。F1060处在R1、SW1之间，所以将F1060配置为透明模式，采用trunk的方式为R1、SW1透传业务。
配置步骤
1、按照网络拓扑图正确配置IP地址
2、R1与SW1之间运行ospf路由协议
3、将F1060防火墙配置为透明模式，采用trunk的方式为R1、SW1透传业务。
配置关键点
SW1:
<H3C>sys
System View: return to User View with Ctrl+Z.
[H3C]sysname SW1
[SW1]vlan 100
[SW1-vlan100]quit
[SW1]int vlan 100
[SW1-Vlan-interface100]ip address 172.16.1.1 24
[SW1-Vlan-interface100]quit
[SW1]int gi 1/0/1
[SW1-GigabitEthernet1/0/1]port link-type access
[SW1-GigabitEthernet1/0/1]port access vlan 100
[SW1-GigabitEthernet1/0/1]quit
[SW1]vlan 10
[SW1-vlan10]quit
[SW1]int vlan 10
[SW1-Vlan-interface10]ip address 10.0.0.1 30
[SW1-Vlan-interface10]quit
[SW1]int gi 1/0/2
[SW1-GigabitEthernet1/0/2]des <connect to FW1>
[SW1-GigabitEthernet1/0/2]port link-type trunk
[SW1-GigabitEthernet1/0/2]undo port trunk permit vlan 1
[SW1-GigabitEthernet1/0/2]port trunk permit vlan 10
[SW1-GigabitEthernet1/0/2]quit
[SW1]int loopback 0
[SW1-LoopBack0]ip address 1.1.1.1 32
[SW1-LoopBack0]quit
[SW1]ospf 1 router-id 1.1.1.1
[SW1-ospf-1]area 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]network 10.0.0.1 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]network 1.1.1.1 0.0.0.0
[SW1-ospf-1-area-0.0.0.0]network 172.16.1.0 0.0.0.255
[SW1-ospf-1-area-0.0.0.0]quit
[SW1-ospf-1]quit
[SW1]
R1:
<H3C>sys
System View: return to User View with Ctrl+Z.
[H3C]sysname R1
[R1]int loopback 0
[R1-LoopBack0]ip address 2.2.2.2 32
[R1-LoopBack0]quit
[R1]int gi 0/1
[R1-GigabitEthernet0/1]ip address 192.168.1.1 24
[R1-GigabitEthernet0/1]quit
[R1]vlan 10
[R1-vlan10]quit
[R1]int vlan 10
[R1-Vlan-interface10]ip address 10.0.0.2 30
[R1-Vlan-interface10]quit
[R1]int gi 0/0
[R1-GigabitEthernet0/0]port link-mode bridge
[R1-GigabitEthernet0/0]port link-type trunk
[R1-GigabitEthernet0/0]undo port trunk permit vlan 1
[R1-GigabitEthernet0/0]port trunk permit vlan 10
[R1-GigabitEthernet0/0]quit
[R1]ospf 1 router-id 2.2.2.2
[R1-ospf-1]area 0.0.0.0
[R1-ospf-1-area-0.0.0.0]network 10.0.0.2 0.0.0.0
[R1-ospf-1-area-0.0.0.0]network 2.2.2.2 0.0.0.0
[R1-ospf-1-area-0.0.0.0]network 192.168.1.0 0.0.0.255
[R1-ospf-1-area-0.0.0.0]quit
[R1-ospf-1]quit
FW1 透明模式配置关键点：
<H3C>sys
System View: return to User View with Ctrl+Z.
[H3C]sysname FW1
[FW1]vlan 10
[FW1-vlan10]quit
[FW1]int range gi 1/0/2 to gi 1/0/3
[FW1-if-range]port link-mode bridge
[FW1-if-range]port link-type trunk
[FW1-if-range]undo port trunk permit vlan 1
[FW1-if-range]port trunk permit vlan 10
[FW1-if-range]quit
[FW1]security-zone name Trust
[FW1-security-zone-Trust]import interface GigabitEthernet 1/0/3 vlan 10
[FW1-security-zone-Trust]quit
[FW1]security-zone name Untrust
[FW1-security-zone-Untrust]import interface GigabitEthernet 1/0/2 vlan 10
[FW1-security-zone-Untrust]quit
[FW1]acl basic 2002
[FW1-acl-ipv4-basic-2002]rule 0 permit source any
[FW1-acl-ipv4-basic-2002]quit
[FW1]
[FW1]zone-pair security source trust destination untrust
[FW1-zone-pair-security-Trust-Untrust]packet-filter 2002
[FW1-zone-pair-security-Trust-Untrust]quit
[FW1]
[FW1]zone-pair security source untrust destination trust
[FW1-zone-pair-security-Untrust-Trust]packet-filter 2002
[FW1-zone-pair-security-Untrust-Trust]quit
[FW1]
[FW1]zone-pair security source trust destination local
[FW1-zone-pair-security-Trust-Local]packet-filter 2002
[FW1-zone-pair-security-Trust-Local]quit
[FW1]
[FW1]zone-pair security source local destination trust
[FW1-zone-pair-security-Local-Trust]packet-filter 2002
[FW1-zone-pair-security-Local-Trust]quit
[FW1]
[FW1]zone-pair security source untrust destination local
[FW1-zone-pair-security-Untrust-Local]packet-filter 2002
[FW1-zone-pair-security-Untrust-Local]quit
[FW1]
[FW1]zone-pair security source local destination untrust
[FW1-zone-pair-security-Local-Untrust]packet-filter 2002
[FW1-zone-pair-security-Local-Untrust]quit
[FW1]
[FW1]zone-pair security source trust destination trust
[FW1-zone-pair-security-Trust-Trust]packet-filter 2002
[FW1-zone-pair-security-Trust-Trust]quit
[FW1]
[FW1]zone-pair security source untrust destination untrust
[FW1-zone-pair-security-Untrust-Untrust]packet-filter 2002
[FW1-zone-pair-security-Untrust-Untrust]quit
测试：
所有PC都填写IP地址：
PC之间可以相互PING通：
分别查看SW1、R1的OSPF邻居信息：
分别查看SW1、R1的路由表：
查看FW1的zone-pair：
- 2021-06-25回答
- 评论(0)
- 举报
(0)
- 2025-11-08回答
- 评论(0)
- 举报
-
(0)
暂无评论
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明
暂无评论